Pu e fai ma meafaigaluega saogalemu - 2, poʻo le auala e puʻe ai le APT "ma le maunu ola"

(faafetai ia Sergey G. Brester mo le manatu autu sebres)

Paʻaga, o le faʻamoemoega o lenei tusiga o le faʻasoa atu lea o le poto masani o se suʻega faʻataʻitaʻiga tausaga o se vasega fou o fofo IDS e faʻavae i luga o tekinolosi Faʻasese.

Ina ia fa'atumauina le feso'ota'iga talafeagai o le tu'uina atu o mea, ou te manatu e tatau ona amata i fale. O lea la, o le faafitauli:

1. O osofaʻiga faʻatatau o le ituaiga sili ona mataʻutia o osofaʻiga, e ui lava i le mea moni e laʻititi la latou vaega i le aofaʻi o faʻamataʻu.
2. E le'i fa'amauina ni auala lelei e puipuia ai le nofoaga (po'o se seti o ia auala) e le'i faia.
3. I le avea ai o se tulafono, o osofaʻiga faʻatatau e faia i ni vaega se tele. O le faʻatoʻilaloina o le nofoaga e naʻo se tasi o laasaga muamua, lea (e mafai ona e togiina maʻa ia te aʻu) e le afaina tele ai le "tagata afaina", seʻi vagana, o le mea moni, o se osofaʻiga DEoS (Faʻaleagaina o le tautua) (encryptors, etc. .). O le "tiga" moni e amata mulimuli ane, pe a amata ona faʻaaogaina aseta na puʻeina mo le pivoting ma le atinaʻeina o se osofaʻiga "loloto", ma matou te leʻi matauina lenei mea.
4. Talu ai ua amata ona tatou pagatia i le leiloa moni pe a oʻo atu le au osofaʻi i sini o le osofaʻiga (talosaga talosaga, DBMS, fale teu oloa, fale teu oloa, elemene taua tele), e talafeagai o se tasi o galuega a le 'auʻaunaga saogalemu o faʻamatalaga o le faʻalavelaveina o osofaʻiga muamua. lenei mea faanoanoa. Ae ina ia faʻalavelaveina se mea, e tatau ona e suʻeina muamua. Ma o le vave, o le lelei.
5. E tusa ai, mo le manuia o le puleaina o tulaga lamatia (o lona uiga, faʻaitiitia le faʻaleagaina mai osofaʻiga faʻatatau), e taua tele le i ai o meafaigaluega e maua ai se TTD laʻititi (taimi e iloa ai - o le taimi mai le taimi o le osofaʻiga i le taimi na iloa ai le osofaʻiga). Faʻalagolago i le alamanuia ma le itulagi, o lenei vaitaimi e averesi 99 aso i le US, 106 aso i le itulagi EMEA, 172 aso i le itulagi APAC (M-Trends 2017, A Vaaiga Mai Laina Luma, Mandiant).
6. O le a le mea e ofoina mai e le maketi?
   • "Pusa oneone". O le isi pulega puipuia, lea e mamao mai le lelei. E tele auala aoga mo le su'esu'eina ma le pasia o sandbox po'o fa'ama'i fa'ata'ita'iga fofo. O tama mai le "itu pogisa" o loʻo tasi pea le laa i luma iinei.
   • UEBA (faiga mo le faʻailoaina o amioga ma faʻamaonia mea faʻafefe) - i le talitonuga, e mafai ona aoga tele. Ae, i loʻu manatu, o se taimi i le lumanaʻi mamao. I le faʻataʻitaʻiga, e matua taugata lava, e le faʻatuatuaina ma e manaʻomia ai se IT matua matua ma mautu ma faʻamatalaga saogalemu, lea ua uma ona i ai meafaigaluega uma e maua ai faʻamatalaga mo suʻesuʻega o amioga.
   • O le SIEM o se meafaigaluega lelei mo suʻesuʻega, ae e le mafai ona vaʻaia ma faʻaalia se mea fou ma muamua ile taimi, aua o tulafono faʻamaopoopo e tutusa ma saini.

7. O se taunuuga, e manaʻomia se meafaigaluega e:
   • galue manuia i tulaga o se nofoaga ua uma ona fetuunai,
   • maua ni osofa'iga manuia i se taimi lata mai, e tusa lava po'o a mea faigaluega ma fa'aletonu na fa'aaogaina,
   • e leʻi faʻalagolago i saini / tulafono / tusitusiga / faiga faʻavae / talaaga ma isi mea faʻapitoa,
   • e le'i mana'omia le tele o fa'amaumauga ma a latou puna'oa mo su'esu'ega,
   • o le a faʻatagaina osofaʻiga e faʻamatalaina e le o se ituaiga o faʻailoga-faʻailoga e mafua mai i le galuega a le "sili ona lelei i le lalolagi, pateni ma o lea ua tapunia ai le matematika", lea e manaʻomia ai suʻesuʻega faaopoopo, ae e masani lava o se mea na tupu - "Ioe, o loʻo osofaʻia i matou" poʻo le "Leai, o loʻo lelei mea uma",
   • sa lautele, lelei scalable ma mafai ona faatino i soo se siosiomaga eseese, e tusa lava po o le a le tino ma talafeagai topology fesootaiga faaaogaina.

O fofo tau faasese ua tauva nei mo le matafaioi a lea meafaigaluega. O lona uiga, fofo faʻavae i luga o le manatu tuai lelei o honeypots, ae faʻatasi ai ma se tulaga eseʻese o le faʻatinoga. O lenei autu ua mautinoa lava ua siitia i le taimi nei.

E tusa ai ma taunuuga Fonotaga pulega a le Gartner Security&Risc 2017 O faʻamatalaga taufaasese o loʻo aofia i totonu ole TOP 3 taʻiala ma meafaigaluega e fautuaina e faʻaaoga.

E tusa ai ma le lipoti TAG Cybersecurity Tausaga 2017 O le taufaasese o se tasi o itu autu o le atinaʻeina o IDS Intrusion Detection Systems) fofo.

O se vaega atoa o le vaega mulimuli Cisco State of IT Security Lipoti, faʻamaoni i le SCADA, e faʻavae i luga o faʻamaumauga mai se tasi o taʻitaʻi i lenei maketi, TrapX Security (Isaraelu), o le fofo o loʻo galue i la matou suʻega mo le tausaga.

TrapX Deception Grid e fa'atagaina oe e fa'atau ma fa'agaoioia IDS fa'atotonugalemu fa'asalalau, e aunoa ma le fa'ateleina o le uta laisene ma mana'oga mo mea faigaluega. O le mea moni, TrapX o se faufale lea e mafai ai ona e fatuina mai elemene o loʻo i ai nei atinaʻe IT se tasi masini tele mo le suʻeina o osofaʻiga i luga o se atinaʻe lautele, o se ituaiga o fesoʻotaʻiga tufatufaina "talatala."

Fa'atulagaina o Fofo

I totonu o la matou fale suʻesuʻe matou te suʻesuʻe pea ma faʻataʻitaʻi oloa fou eseese i le tulaga o le saogalemu IT. I le taimi nei, e tusa ma le 50 'auʻaunaga faʻapitoa eseese o loʻo faʻapipiʻiina iinei, e aofia ai vaega TrapX Deception Grid.

O lea, mai luga i lalo:

1. TSOC (TrapX Security Operation Console) ole fai'ai ole faiga. O le fa'amafanafanaga tutotonu lea o lo'o fa'atinoina ai le fa'atulagaina, fa'apipi'iina o fofo ma galuega uma i lea aso ma lea aso. Talu ai o le 'au'aunaga i luga o le upega tafa'ilagi, e mafai ona fa'apipi'i i so'o se mea - i luga o le nofoaga, i le ao po'o se MSSP e tu'uina atu.
2. TrapX Appliance (TSA) o se 'upega tafaʻilagi tatou te faʻafesoʻotaʻi i ai, e faʻaaoga ai le pusa ogalaau, o na upega tafaʻilagi tatou te mananaʻo e ufiufi i le mataʻituina. E le gata i lea, o a tatou masini fesoʻotaʻiga uma e "ola" iinei.

   O la matou fale su'esu'e e tasi le TSA na fa'atinoina (mwsapp1), ae o le mea moni e mafai ona tele. Atonu e manaʻomia lenei mea i fesoʻotaʻiga tetele e leai se fesoʻotaʻiga L2 i le va o vaega (o se faʻataʻitaʻiga masani o le "Uu ma lala" poʻo le "Faʻauluuluga Faletupe ma lala") pe afai o le fesoʻotaʻiga o loʻo i ai ni vaega faʻapitoa, mo se faʻataʻitaʻiga, faiga faʻatautaia otometi. I ia lala/vaega ta'itasi, e mafai ona e fa'aogaina lau lava TSA ma fa'afeso'ota'i i se TSOC e tasi, lea o le a fa'atautaia ai fa'amatalaga uma. O lenei fausaga e mafai ai e oe ona fausia faʻasalalauga faʻasalalauga e aunoa ma le manaʻoga e toe faʻaleleia le fesoʻotaʻiga poʻo le faʻalavelaveina o vaega o loʻo iai.

   E le gata i lea, e mafai ona matou tu'uina atu se kopi o fefa'atauaiga i fafo i le TSA e ala i le TAP/SPAN. Afai matou te iloa fesoʻotaʻiga ma botnets lauiloa, faʻatonuga ma pule faʻatonu, poʻo sauniga TOR, matou te maua foi le iʻuga i le faʻamafanafanaga. Network Intelligence Sensor (NIS) e nafa ma lenei mea. I lo matou siosiomaga, o lenei faʻatinoga o loʻo faʻatinoina i luga o le pa puipui, o lea matou te leʻi faʻaaogaina iinei.

3. Mailei Talosaga (Full OS) - honeypots masani faʻavae i luga o sapalai Windows. E te le manaʻomia le tele o latou, talu ai o le autu autu o nei 'auʻaunaga o le tuʻuina atu lea o auaunaga IT i le isi vaega o masini poʻo le iloa o osofaʻiga i luga o pisinisi faʻaoga e mafai ona faʻapipiʻiina i totonu o le Windows environment. E tasi le matou 'au'aunaga fa'apipi'i i la matou falesu'esu'e (FOS01)

   

4. O mailei faʻataʻitaʻiina o le vaega autu lea o le fofo, lea e mafai ai ona tatou, faʻaaogaina se tasi masini komepiuta, e fausia ai se "minefield" sili ona mafiafia mo tagata osofaʻi ma faʻamalieina le atinaʻe fesoʻotaʻiga, ona vlans uma, ma a tatou masini. E vaʻaia e le tagata osofaʻi se mea faʻalogo, poʻo se phantom host, o se Windows PC poʻo se server, Linux server poʻo isi masini tatou te filifili e faʻaali atu ia te ia.

   
   
   Mo le lelei o le pisinisi ma mo le fia iloa, matou te faʻaogaina "se pea o meaola taʻitasi" - Windows PC ma 'auʻaunaga o ituaiga eseese, Linux servers, ATM ma Windows embedded, SWIFT Web Access, se lomitusi fesoʻotaiga, Cisco. ki, se mea pueata Axis IP, se MacBook, PLC -mea ma e oo lava i se matauila malamalama. E 13 au talimalo i le aofa'i. I se tulaga lautele, e fautuaina e le tagata faʻatau le faʻaogaina o ia masini i se aofaʻi o le itiiti ifo i le 10% o le numera o tagata moni. O le pa pito i luga o le avanoa tuatusi avanoa.

   O se itu taua tele e faapea o ia talimalo taʻitasi e le o se masini faʻaogaina atoatoa e manaʻomia ai punaoa ma laisene. O se faʻaʻoleʻole, faʻataʻitaʻiga, tasi le faagasologa i luga o le TSA, o loʻo i ai se seti o tapulaʻa ma se tuatusi IP. O le mea lea, faʻatasi ai ma le fesoasoani a le tasi TSA, e mafai ona faʻatumuina le fesoʻotaʻiga ma le fiaselau o ia 'au faʻamaʻi, lea o le a galue o ni masini i le faʻailoga. O le tekinolosi lea e mafai ai ona fa'afua le tau-lelei le manatu o le honeypot i so'o se atina'e tele tufatufaina.

   Mai le vaaiga a le tagata osofaʻi, o nei 'au e aulelei ona o loʻo i ai ni faʻafitauli ma foliga mai e faigofie tele. O loʻo vaʻaia e le tagata osofaʻi auʻaunaga i luga o nei 'au ma e mafai ona fegalegaleai ma i latou ma osofaʻia i latou e faʻaaoga ai meafaigaluega masani ma faʻasalalauga (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, etc.). Ae e le mafai ona faʻaogaina nei 'au e atiaʻe se osofaʻiga pe faʻatautaia lau lava code.

5. O le tuʻufaʻatasia o nei tekinolosi e lua (FullOS ma faʻataʻitaʻiga mailei) e mafai ai ona tatou ausia se tulaga maualuga faʻafuainumera e mafai e se tagata osofaʻi ona feagai ma se elemene o la tatou fesoʻotaʻiga faailoilo. Ae faʻafefea ona tatou mautinoa o lenei avanoa e latalata ile 100%?

   O le mea e taʻua o faʻailoga Faʻasese e ulufale atu i le taua. Faʻafetai ia i latou, e mafai ona matou faʻaaofia uma PC o loʻo i ai ma sapalai o le atinaʻe i la matou IDS tufatufaina. O faʻailoga e tuʻuina i luga o PC moni a tagata faʻaoga. E taua le malamalama o faʻailoga e le o ni sui e faʻaaogaina punaoa ma mafai ona mafua ai feeseeseaiga. O faʻailoga o elemene faʻamatalaga passive, o se ituaiga o "falaoa" mo le itu osofaʻi e taʻitaʻia ai i se mailei. Mo se faʻataʻitaʻiga, faʻafanua fesoʻotaʻiga taʻavale, faʻailoga tusi i luga o upega tafaʻilagi pepelo i luga o le browser ma faʻasaoina upu faʻaulu mo i latou, faʻasaoina ssh / rdp / winscp sauniga, o matou mailei ma faʻamatalaga i faila faila, upu faʻapolopolo ua teuina i le mafaufau, faʻamaoniga o tagata e le o iai, ofisa. faila, tatala lea o le a faʻaosoina ai le faiga, ma sili atu. O le mea lea, matou te tuʻuina le tagata osofaʻi i totonu o se siosiomaga faʻafefeteina, tumu i osofaʻiga vectors e le faʻatupuina ai se taufaamatau ia i matou, ae o le faʻafeagai. Ma e leai sana auala e iloa ai po o fea e moni ai faamatalaga ma po o fea foi e sese. O le mea lea, e le gata ina matou faʻamautinoa le vave iloa o se osofaʻiga, ae faʻapena foi ona faʻagesegese lona alualu i luma.

O se faʻataʻitaʻiga o le fatuina o se mailei fesoʻotaʻiga ma le faʻatulagaina o faʻailoga. Fa'afeiloa'i fa'auo ma leai se fa'atonuga tusilima o configs, scripts, etc.

I totonu o la matou siosiomaga, matou te faʻatulagaina ma tuʻuina se numera o ia faʻailoga i luga ole FOS01 o loʻo faʻaogaina le Windows Server 2012R2 ma se PC suʻega o loʻo faʻaogaina Windows 7. O loʻo taʻavale le RDP i luga o nei masini ma matou te "tautau" i lea taimi ma lea taimi i le DMZ, lea e tele a matou masini. (mailei fa'atusa) o lo'o fa'aalia fo'i. O lea tatou te maua ai se tafega faifaipea o mea tutupu, e masani lava ona tautala.

O lea la, o nisi nei o fuainumera vave mo le tausaga:

56 - faʻalavelave faʻamaumau,
2 - osofaʻiga osofaʻiga na maua.

Fegalegaleai, kiliki faafanua osofaiga

I le taimi lava e tasi, o le fofo e le maua ai se ituaiga mega-log poʻo meaʻai fafaga, lea e umi se taimi e malamalama ai. Nai lo lena, o le fofo lava ia e faʻavasegaina mea tutupu e ala i a latou ituaiga ma faʻatagaina le vaega o le puipuiga o faʻamatalaga e taulaʻi muamua i mea e sili ona mataʻutia - pe a taumafai le tagata osofaʻi e faʻatupu le faʻatonutonuina o sauniga (fesoʻotaʻiga) poʻo pe a faʻaalia ni uta binary (faʻamaʻi) i la tatou fefaʻatauaiga.

O faʻamatalaga uma e uiga i mea na tutupu e mafai ona faitau ma tuʻuina atu, i loʻu manatu, i se faʻamatalaga faigofie e malamalama ai e oʻo lava i se tagata faʻaoga e iai le poto masani i le tulaga o le saogalemu o faʻamatalaga.

O le tele o fa'amaumauga fa'amauina o ni taumafaiga e su'esu'e a tatou 'au po'o so'oga tasi.

Po'o le taumafai e fa'aleaga upu fa'amalo mo le RDP

Ae sa i ai foʻi mataupu sili atu ona manaia, aemaise lava pe a "puleaina" e le au osofaʻi le mateina o le upu faʻamaonia mo le RDP ma maua le avanoa i le upega tafaʻilagi.

E taumafai le tagata osofaʻi e faʻatino le code e faʻaaoga ai le psexec.

Na maua e le tagata osofaʻi se sauniga faʻasaoina, lea na taʻitaʻia ai o ia i se mailei i le tulaga o se server Linux. O le taimi lava na maeʻa ai le fesoʻotaʻiga, faʻatasi ai ma se seti o poloaiga na saunia muamua, na taumafai e faʻaumatia uma faila ogalaau ma fesuiaiga o faiga faʻatatau.

E taumafai se tagata osofa'i e fa'atino tui SQL i luga o se ipu meli e fa'ata'ita'i ai le SWIFT Web Access.

I le faaopoopo atu i ia "natura" osofaiga, sa matou faia foi le tele oa matou lava suega. O se tasi o mea e sili ona faʻaalia o le suʻeina lea o le taimi e iloa ai se anufe fesoʻotaʻiga i luga o se fesoʻotaiga. Ina ia faia lenei mea sa matou faʻaaogaina se meafaigaluega mai GuardiCore taʻua Manuki pipisi. O se anufe fesoʻotaʻiga e mafai ona faoa Windows ma Linux, ae aunoa ma se "totogi".
Na matou faʻapipiʻiina se nofoaga faʻatonu i le lotoifale, faʻalauiloa le faʻataʻitaʻiga muamua o le anufe i luga o se tasi o masini, ma maua le mataala muamua i le TrapX console i lalo ifo o le minute ma le afa. TTD 90 sekone fa'asaga ile 106 aso ile averesi...

Faʻafetai i le mafai ona tuʻufaʻatasia ma isi vasega o fofo, e mafai ona tatou alu ese mai le naʻo le vave iloa o faʻamataʻu e otometi ona tali atu ia i latou.

Mo se faʻataʻitaʻiga, faʻatasi ma NAC (Network Access Control) faiga poʻo le CarbonBlack o le a faʻatagaina oe e otometi ona vavae ese PC faʻafefe mai le fesoʻotaʻiga.

O le tuʻufaʻatasia ma sandboxes e mafai ai ona tuʻuina atu faila o loʻo aʻafia i se osofaʻiga e otometi ona tuʻuina atu mo suʻesuʻega.

McAfee tuufaatasia

O le fofo e iai fo'i lana faiga fa'amaopoopo fa'atasi.

Ae matou te leʻi faamalieina i ona gafatia, o lea na matou tuʻufaʻatasia ai ma HP ArcSight.

O le faiga fa'ailoga fa'apipi'i e fesoasoani i le lalolagi atoa e feagai ai ma fa'amata'u ua iloa.

Talu ai ona o le fofo na atiina ae "mai le amataga" mo manaoga o lala sooupu a le malo ma se vaega tele kamupani, e masani lava ona faʻatinoina se faʻataʻitaʻiga faʻavae faʻavae, faʻatasi ma AD, se faiga faʻavae o lipoti ma faʻaoso (faʻaaliga faʻalavelave), faʻasalalauga mo fausaga tetele o lo'o umia po'o 'au'aunaga MSSP.

Nai lo o se resume

Afai o loʻo i ai se faiga mataʻituina, lea, i se faaupuga faʻatusa, e ufiufi ai o tatou tua, ona faʻatasi ai lea ma le fetuutuunai o le perimeter o mea uma na faatoa amata. O le mea pito sili ona taua o loʻo i ai se avanoa moni e faʻatautaia ai faʻamatalaga saogalemu faʻamatalaga, ae le o le taulimaina o latou taunuuga.

puna: www.habr.com